Cette formation décrit les problèmes liés à la sécurité dans différentes technologies. Vous découvrez la sécurité dans le monde .Net, en PHP et en Java. Les aspects spécifiques aux architectures microservices sont évoqués avec les API Gateway. Vous étudiez l’architecture .Net pour laquelle Microsoft propose un ensemble sécurisé de fonctions de sécurité qui s’intègrent dans les modèles d’applications supportées. Nous présentons en PHP, avec ou sans framework, les problèmes de sécurité que vous pouvez rencontrez dans ces technologies. Enfin, en Java, des patterns spécifiques sont proposés et vous serez à même de les mettre en œuvre.

1. Formation
Architecture Microservices
La sécurité
Une formation
Fabien BRISSONNEAU

2. Cursus

3. Une formation
Le propriétaire de la ressource
La ressource
Le principal : identité et rôle
Authentification
Autorisation
Chiffrement
Plan

4. Une formation
Public concerné
Développeurs
Pratiquants devops
Chefs de projet

5. Une formation
Connaissances requises
Langage de programmation

7. Présentation du projet
Une formation
Fabien BRISSONNEAU

8. Une formation
Les généralités sur la sécurité
Projet Visual Studio pour C#
Architecture microservice
Créer une API Gateway
Projet PHPStorm
Projet IntelliJ pour Java
Plan

9. Une formation
Visual Studio pour C#
IntelliJ pour Java
PHPStorm pour PHP
Les outils

10. Comprendre les notions
de la sécurité
Une formation
Fabien BRISSONNEAU

11. Une formation
Le propriétaire de la ressource
La ressource
Le principal : identité et rôle
Authentification
Autorisation
Chiffrement
Plan

12. Une formation
Le propriétaire
Détient les preuves
Devrait avoir accès aux ressources

13. Une formation
La ressource
Ce qui est protégé
Fichiers, données, informations…

14. Une formation
Le principal
Informations sur l’utilisateur
Rôles qu’il assume

15. Une formation
Authentification
Etablir et vérifier l’identité d’un
principal

16. Une formation
Autorisation
Déterminer si un principal est
autorisé
Accès à une ressource

17. Une formation
Chiffrement
Symétrique ou asymétrique
Être le seul à chiffrer
Être le seul à déchiffrer

18. Une formation
Cryptographie
Intégrité des données
Authentification de l’origine
Non-répudiation de l’origine

19. Utiliser le Framework OAuth2
Une formation
Fabien BRISSONNEAU

20. Une formation
Les composants principaux
Les tokens
Les scénarios d’authentification
Exemple Google APIs
Plan

21. Propriétaire de la ressource
Client : appli tierce
Serveur de ressource
Serveur d’autorisation Serveurs
Propriétaire
Client
Authentification
Ressource
Token
Les composants principaux

22. Une formation
Les tokens
Token d’accès : accéder à la ressource
Token de refresh : pour obtenir un
nouveau token

23. Une formation
Les scénarios d’utilisation
Avec un code
Autorisation implicite
Avec identifiants du propriétaire
Avec identifiants du client

24. Une formation
Exemple Google APIs
Récupérer des infos de client
Obtenir un token de Google
Authorization Server
Examiner les scopes d’accès
Envoyer le token à une API
Rafraîchir le token d’accès

25. Valider les entrées
Une formation
Fabien BRISSONNEAU

26. Une formation
Les problèmes
La validation au plus tôt
Plan

27. Une formation
Aspect général du logiciel
Cas particuliers des applis Web
Formulaires, paramètres, uploads…
Injections SQL
XSS (cross-site scripting)
Les problèmes

28. Une formation
Vérifier les entrées le plus tôt
Filtrer les caractères spéciaux
Les champs sont typés
Réduire la surface d’attaque
Syntaxique et sémantique
Les solutions

29. Une formation
Les validations HTML5
Whitelist plutôt que blacklist
Validateurs des frameworks
Schémas JSON et XML
Conversion de types
Minimum et maximum
Expressions régulières
Les solutions

30. Définir la sécurité .Net
Une formation
Fabien BRISSONNEAU

31. Une formation
Sécurité basée sur les rôles
La stratégie
Sécurité de type
Chiffrement
Plan

32. Une formation
Le principal est basé sur une identité
Les informations sur le principal sont
disponibles pour le thread courant
Un principal encapsule identité et rôles
Les autorisations sont accordées en
fonction de l’identité ou du rôle
Sécurité basée sur les rôles

33. Une formation
La sécurité .Net est pilotée par stratégie
Associer autorisations et preuves
Le stockage isolé
La stratégie

34. Une formation
Un secret est une information qui ne
doit pas être publique
Le secret a une durée de vie limitée
Les secrets sont protégés par crypto
Les secrets

35. Une formation
Chiffrement
Le système de chiffrement est organisé
par héritage
Type d’algorithme : SymmetricAlgorithm,
HashAlgorithm, ..
Classe d’algorithme : Aes, RSA, ECDiffielHellamn, …
Implémentations : AesManaged, …
Les implémentations
*CryptoServiceProvider, des wrappers autour de CAPI
*Cng, des wrappers autour de CNG
*Managed des classes entièrement en code managé

36. Utiliser les outils de sécurité
Une formation
Fabien BRISSONNEAU

37. Une formation
Les noms forts des assemblys
ILDASM
Rechercher dans le code
Plan

38. Une formation
Créer un nom fort
Utiliser Visual Studio
La livraison dans le GAC
Les noms forts

39. Une formation
Désassembler IL
Les attributs de l’assembly
Retrouver la signature
ILDASM

40. Une formation
A partir d’un autre assembly
Récupérer les informations
Rechercher dans le code

41. Mettre en œuvre la sécurité
Une formation
Fabien BRISSONNEAU

42. Une formation
Le contrôle basé sur les rôles
Les attributs
Authentification externe
Lire le principal
Plan

43. Une formation
Les utilisateurs portent des rôles
Les rôles sont contrôlés
Le contrôle basé sur les rôles

44. Une formation
Authorize
Applicable aussi sur une classe
AllowAnonymous est l’inverse
Les attributs

45. Une formation
Consiste à utiliser un service externe
Echange de preuves et de token
Plusieurs scénarios possibles
Plusieurs services possibles
Authentification externe

46. Une formation
La propriété User.Identity
Vérifications d’authentification
Récupération du nom
Lire le principal

47. Protéger le contenu des
assemblys
Une formation
Fabien BRISSONNEAU

48. Une formation
Un outil : ILDASM
Lire Intermediate Language
La décompilation

49. Une formation
Mettre en œuvre
Le résultat
L’obsfucation

50. Une formation
Pour éviter la décompilation
Utiliser l’obsfuscation
Conclusion

51. Protéger l’exécution des
programmes
Une formation
Fabien BRISSONNEAU

52. Une formation
Chargement des assemblies
Compilation JIT
Code Access Security
Plan

53. Une formation
Une application interagit avec le CLR
Un jeu d’autorisations par appli
Chargement des assemblies

54. Une formation
Quand IL est exécuté
Compilation JIT
Vérification type-safe
Vérifier avec peverify
Compilation JIT

55. Une formation
Restrictions selon le niveau de confiance
Exécution selon les permissions données
Exécution ou levée d’exception
Code Acess Security

56. Une formation
Donner des autorisations aux applis
Identifier les preuves des assemblies
Lier les assemblies aux groupes de code
En déduire un ensemble d’autorisations
Conclusion

57. Déployer une stratégie de
sécurité dans le CLR
Une formation
Fabien BRISSONNEAU

58. Une formation
Associer les autorisations aux preuves
Limiter l’accès autorisé
Preuves : namespaces, zones, …
Autorisations : fichiers, exécutions, …
La stratégie de sécurité

59. Une formation
Stratégie de l’ordinateur
Stratégie de l’utilisateur
Stratégie de l’hôte
Les niveaux de stratégies

60. Une formation
Limitation à des droits
Limitation à des exécutables
Les impacts sur l’exécution

61. Une formation
La stratégie de sécurité est définie
Impacts sur l’exécution
Conclusion

62. Choisir confiance totale ou
partielle
Une formation
Fabien BRISSONNEAU

63. Une formation
Un code qui accède aux types
autorisés
Accès sécurisé
Lié au compilateur
Le code de type sécurisé

64. Une formation
Impérative / déclarative
Le code demande des autorisations
Soit avec du code impératif
Soit avec des déclarations
Syntaxe

65. Une formation
Utilise des demandes de sécurité
Oblige le client à avoir les droits
Net framework en propose certaines
Bibliothèques de classes

66. Une formation
A partir de Framework 4
Ne peut pas appeler du code critique
Pour applications confiance totale
Et applications confiance partielle
Code transparent

67. Une formation
Le niveau de confiance du code
Le lien avec le langage de
programmation
Conclusion

68. Les différences avec une
architecture monolithique
Une formation
Fabien BRISSONNEAU

69. Une formation
La surface d’attaque
La sécurité et les performances
Le démarrage des micro-services
Les requêtes sur plusieurs
Plan

70. Une formation
Les points d’entrée
Un seul pour le monolithe
Nombreux en micro-services
La surface d’attaque

71. Une formation
Tester la sécurité
Au point d’entrée
Sur chaque micro-service
La sécurité et les
performances

72. Une formation
Les micro-services sont liés
Automatisation nécessaire
Validation d’un service par ses pairs
Le démarrage

73. Une formation
Doit être observable
Créer des logs
Créer des métriques
Générer des traces
Les requêtes sur plusieurs

74. Une formation
Autres défis
Les conteneurs sont immuables
Le contexte utilisateur
Architecture multi-techniques
Conclusion

75. Mettre en œuvre un serveur
OpenId Connect
Une formation
Fabien BRISSONNEAU

76. Une formation
L’implémentation est libre
Un client, serveur quelconque
Utilise JSON Signing and Encryption
Standard ouvert

77. Une formation
ID Token utilise un JWT
Pour le propriétaire de la ressource
Doit être parsé
Basé sur OAuth2

78. Une formation
ID Token contient un accès aux data
Utilise un UserInfo endpoint
Récupère les preuves de l’utilisateur
Dédié à l’authentification

79. Utiliser un serveur
OpenId Connect
Une formation
Fabien BRISSONNEAU

80. Une formation
Le token possède des champs
URL du demandeur
L’id de l’utilisateur, du client
Une durée de vie, une date
Tout est signé
Générer un ID Token

81. Une formation
Méthodes GET et POST
Fournit les preuves de l’utilisateur
Créer un URL endpoint

82. Une formation
Utilisant la clé du serveur
Déchiffrer, vérifier
Récupérer les informations
Parser l’ID Token

83. Justifier une API Gateway
Une formation
Fabien BRISSONNEAU

84. Une formation
Eviter d’exposer les microservices
URL complexes
Hétérogénéité
Exposition des microservices

85. Une formation
Gérer la sécurité en transparence
Aspects non fonctionnels
Code polluant
Code changeant
Découpler la sécurité

86. Une formation
Les granularités des services
Difficultés à consommer
Les interfaces ne sont pas cohérentes
Améliorer la cohérence

87. Une formation
Les services sont hétérogènes
Granularité très différentes
Orchestration des appels
Gérer la granularité

88. Mettre en place une API
Gateway
Une formation
Fabien BRISSONNEAU

89. Une formation
Gérer la sécurité : accès, quotas, …
Tracer les actions : logs, métriques, …
Régler le routage, …
Equilibrer les charges
Rôle de l’API Gateway

90. Une formation
Kong
Ambassador
Gloo
Istio
Exemples d’implémentations

91. Sécuriser entre services
avec TLS
Une formation
Fabien BRISSONNEAU

92. Une formation
Savoir avec qui on parle
Sécuriser les transferts d’information
Https est http sur TLS
Handshake client-serveur
L’exposition avec TLS

93. Une formation
Capacité de vérification du certificat
OpenSSL est une implémentation
Une autorité connue des services
Autorité de certification

94. Une formation
TLS seul identifie le serveur
mTLS permet la réciproque
Utiliser mutual TLS

95. Communiquer entre services
avec JWT
Une formation
Fabien BRISSONNEAU

96. Une formation
Intérêt de JWT
Nécessité d’un SecurityTokenService
Usages du JWT
Plan

97. Une formation
Communiquer entre services
Standard (Header)
Sécurisé (Signature)
Partager un contexte (Payload)
Intérêt de JWT

98. Une formation
Infos en JSON contenant une preuve
Auto descriptif
Définition de JWT
{
"name": "John Doe",
"email": "john@johndoe.com",
"admin": true
}

99. Une formation
Service de production du token
Accessible des services du cluster
Seul AS produit la signature
Nécessité d’un STS

100. Une formation
Contient de l’information
Authentification de l’utilisateur
Gestion de session
Encodé Base64 / Base64Url
Usages du JWT

101. Une formation
Iss pour l’entité génératrice (serveur)
Iat pour le timestamps de création
Sub pour l’id technique de l’utilisateur
Exp pour le timestamps expiration
Informations

102. Une formation
Sécuriser avec JWT
Capable de déchiffrer
Contexte utilisateur avec JWT
Identification et expiration
Conclusion

103. Les bons réglages en PHP
Une formation
Fabien BRISSONNEAU

104. Une formation
Les bonnes pratiques
La configuration php.ini
Les fonctions non sécures
Les fonctions à restreindre
Activer les protections
Plan

105. Une formation
Être à jour des versions
Utiliser du SQL précompilé
Valider les entrées utilisateurs
Protocole SSL
Eviter l’inclusion de fichiers
Les bonnes pratiques

106. Une formation
display_errors Désactiver l’affichage des erreurs
group_id à un niveau bas
allow_url_include OFF
memory_limit : attaque DoS
max_execution_time
max_input_time
La configuration php.ini

107. Une formation
Utiliser disable_functions pour
phpinfo, system, mail, exec
Dimensionner les ressources
Les fonctions non sécures

108. Une formation
Si non nécessaires
File_uploads, display_errors,
allow_url_fopen, expose_php, …
Les fonctions à restreindre

109. Une formation
Plus d’information
cgi.force.redirect, log_errors
Safe modes
safe_mode, sql.safe_mode
Activer les protections

110. Une formation
Modifier les paramètres pour sécuriser
Eviter de fournir des informations
Eviter les accès non souhaités
Conclusion

111. PHP, la sécurité des bases de
données
Une formation
Fabien BRISSONNEAU

112. Une formation
Chaque base propose ses primitives
Les PHP data objects
Les crédits de connexion
Le SQL précompilé
Plan

113. Une formation
Chaque base propose ses fonctions
Autant d’extensions à installer
Interfaces différentes
Accroît les difficultés
Les primitives

114. Une formation
Une interface unique
Plusieurs bases de données
Nécessite d’utiliser un SQL commun
Les PHP Data Objects

115. Une formation
Déplacer les infos de connexion
Ne pas les placer dans le code
Par environnement
Ne pas les versionner
Les crédits de connexion

116. Une formation
Ne pas exécuter SQL + variables
Filtrer les entrées utilisateur
Utiliser Prepared Statements
Et Bound Parameters
Le SQL pré compilé

117. Une formation
Utiliser les PDO
Pré compiler le SQL
Lié des paramètres vérifiés
Conclusion

118. Les vulnérabilités des
applications Web
Une formation
Fabien BRISSONNEAU

119. Une formation
Injection
Authentification
Exposition de données sensibles
Données externes XML
Contrôle d’accès brisé
Mauvaise configuration de sécurité
Cross-site scripting
Plan

120. Une formation
Injection de données non vérifiées
Dans une commande ou un requête
L’interpréteur va exécuter la commande
Injection

121. Une formation
Compromission de mots de passe
Ou de clés, de tokens …
Par exemple en PHP, les données de session
stockées en clair sur le filesystem
Authentification

122. Une formation
Données sensibles non protégées
Le vol ou la modification de ces infos
Les données doivent être protégées, au
repos comme en transit
Attention particulière lorsqu’elles sont
échangées avec un navigateur
Exposition de données

123. Une formation
Données XML parsées
Une référence vers une donnée externe
Mène au vol de données, DoS, scan de
ports …
Données externes XML

124. Une formation
Les restrictions d’accès aux utilisateurs
L’attaque consiste à utiliser ces accès
Vol de données, modifications…
Contrôle d’accès brisé

125. Une formation
La configuration de sécurité
Définie et déployée
Pour l’application, les serveurs, les
frameworks, …
Par défaut, souvent non sûrs
Mauvaise configuration

126. Une formation
Exécution de script sur le navigateur
Pour récupérer des infos, rediriger ailleurs
Une application prend des données et les
envoie sans validation au navigateur
Cross site scripting

127. Une formation
OWASP a décrit les cas fréquents
Ces erreurs se répètent
Pas toujours corrigées
Conclusion

128. Java, charger les classes et
utiliser SandBox
Une formation
Fabien BRISSONNEAU

129. Une formation
Les class loader de Java
La vérification du bytecode
Le SecurityManager
Plan

130. Une formation
Class loader primordial
Class loader d’extensions
Class loader d’application
Vérifient que le code nouveau ne
remplace pas des éléments systèmes
Les class loader de Java

131. Une formation
Lorsque le loader présente la classe
Le « verifier » contrôle les instructions
Variables initialisées, méthodes sur les
types, règles de visibilité, variables locales
dans la pile, pas de débordement …
La vérification du bytecode

132. Une formation
Vérifie à l’exécution
Méthodes dangereuses :
entrées/sorties, accès réseau,
définition de class loader …
Le SecurityManager

133. Une formation
Le modèle SandBox
Empêche le code malveillant de nuire
Plusieurs composants coopèrent
Conclusion

134. Java, Utiliser
SecurityManager
Une formation
Fabien BRISSONNEAU

135. Une formation
La classe SecurityManager
Interagir avec le SecurityManager
Les fichiers de configuration
Plan

136. Une formation
Définit la politique de sécurité
Quelles actions sont safe
Fournit des informations aux
applications
La classe SecurityManager

137. Une formation
Récupérer le SecurityManager
Tester la possibilité d’une permission
Avec SecurityManager

138. La liste des fichiers
Modifier les permissions
Les fichiers de configuration

139. Une formation
SecurityManager vérifie les permissions
La configuration peut être modifiée
Conclusion

140. Java, Mettre en œuvre la
protection du bytecode
Une formation
Fabien BRISSONNEAU

141. Une formation
Le bytecode décompilé
L’obfuscation du code
Plan

142. Une formation
Il existe plusieurs décompilateurs
Code résultant proche du source
Avec infos de debug éventuellement
Le bytecode décompilé

143. Une formation
Définition de l’obfuscation
Des outils pour obfusquer
Les limites de l’obfuscation
L’obfuscation du code

144. Une formation
Le bytecode est facilement décompilé
L’obfuscation masque le source
Conclusion

145. Découvrir l’architecture
de JAAS
Une formation
Fabien BRISSONNEAU

146. Une formation
Java Authentication and Autorisation
Gérer identifications et droits
Définition de JAAS

147. Une formation
Principal
Une identité du demandeur
Subject
Le demandeur
LoginModule
Interface du AP
LoginContext
Méthode de login
Callback
Interface de la demande
Principales classes

148. Mis en œuvre dans Jboss, BEA, …
Schéma

149. Une formation
JAAS est une solution pour sécuriser
Partie de J2SE
Utilisé par les composants JEE
Conclusion

150. S’authentifier avec le PAM
Une formation
Fabien BRISSONNEAU

151. Une formation
Pluggable Authentication Modules
Intégrer des stratégies diverses
Une API pour étoffer une phase
Une librairie pour intégration
Définition de PAM

152. Une formation
Définit des services (applications)
Un service contient des règles
Une règle lance un module
Fonctionnement

153. Une formation
Choisir une application /etc/pam.d/x
Pile plus ou moins complète
Cas concret

154. Une formation
Composant de l’ensemble gnu/linux
Nombreux usages
Cohérence de la sécurité
Conclusion

155. Gérer les permissions
Une formation
Fabien BRISSONNEAU

156. Une formation
Récupérer les sources
Construire le binaire
Exemple avec check_user

157. Une formation
Le fichier / application n’existe pas
Traitement par défaut
Exemple sans permission

158. Une formation
Création d’un fichier / application
Définir
Mise en oeuvre
auth required pam_unix.so
account required pam_unix.so

159. Conclusion
Une formation
Fabien BRISSONNEAU

160. Une formation
Les généralités sur la sécurité
La sécurité en code .Net
La sécurité avec les microservices
La sécurité avec API Gateway
La sécurité avec PHP
La sécurité avec Java
Bilan